Absicherung des Service Desks gegen Social Engineering

Der Großteil der Sicherheitsinvestitionen fließt in die Abwehr technischer Angriffe: Firewalls, Endpunktschutz, Patching, Multi-Faktor-Authentifizierung. Diese Kontrollen funktionieren gut gegen automatisierte, opportunistische Bedrohungen. Was sie nicht abdecken, ist ein gut vorbereiteter Angreifer, der zum Hörer greift, Ihren Service Desk anruft und sich hineinredet.

Der Service Desk ist dafür da, Mitarbeitende schnell wieder handlungsfähig zu machen. Ein vergessenes Passwort zurücksetzen, ein Konto entsperren, einen neuen Mitarbeiter einrichten, jemandem helfen, dessen Handy über das Wochenende den Geist aufgegeben hat. Hilfsbereit und schnell zu sein ist die gesamte Aufgabe, und genau darauf verlässt sich ein versierter Social Engineer. Das hat Support-Mitarbeitende zu einem der zuverlässigsten Einfallstore ins Unternehmen gemacht.

Warum der Help Desk zum Ziel wurde

Der Wert des Help Desks für einen Angreifer liegt darin, was er mit dem Zugang aller anderen anstellen kann. Ein Support-Mitarbeiter kann Anmeldedaten zurücksetzen, Konten entsperren, Berechtigungen erhöhen und in vielen Konfigurationen die Multi-Faktor-Authentifizierung auf ein neues Gerät neu registrieren. Genau diese letzte Fähigkeit ist die eigentliche Beute. Ein Angreifer, der einen Mitarbeiter dazu bringt, die MFA auf ein von ihm kontrolliertes Handy zu verschieben, hat die MFA vollständig ausgehebelt, denn sein Gerät ist nun der vertrauenswürdige Faktor. Es ist keine Schadsoftware im Spiel und keine Schwachstelle zu patchen.

Die häufig als Scattered Spider erfasste Gruppe hat einen Großteil ihrer Aktivitäten um diese Methode aufgebaut. In einer im Juli 2025 aktualisierten gemeinsamen Warnmeldung beschrieben CISA und ihre internationalen Partner, wie die Gruppe sich als Unternehmensmitarbeiter oder IT-Personal ausgibt und dabei Phishing, Push-Bombing und SIM-Swap-Angriffe einsetzt, um Anmeldedaten zu erlangen, Fernzugriffstools zu installieren und die MFA zu umgehen. Dieselbe Warnmeldung weist darauf hin, dass die Gruppe gezielt große Unternehmen und deren Help Desks ins Visier nimmt. Unsere Analyse des ShinyHunters- und Okta-Vishing-Vorfalls zeigt, wie die Technik gegen eine namentlich genannte Organisation abläuft. Es ist ein wiederholbares Vorgehen, und es hat Fluggesellschaften, Einzelhändler, Versicherer und Gesundheitsdienstleister getroffen.

Überzeugungsarbeit lässt sich zudem auf eine Weise skalieren, wie es technische Ausnutzung nicht kann. Der Verizon Data Breach Investigations Report 2025 stellte fest, dass der menschliche Faktor bei rund 60 % der Sicherheitsverletzungen eine Rolle spielte, sei es durch Fehler, Manipulation oder Missbrauch. Ein geschulter Mitarbeiter, der helfen will, ist ein berechenbareres Ziel als ein gehärteter Server.

Beginnen Sie mit den Prozesskontrollen

Der Kern dieses Problems ist die Identitätsprüfung, und genau dort setzt die Verteidigung an. Wenn ein Angreifer anruft, hängt alles davon ab, ob der Mitarbeiter bestätigen kann, dass der Anrufer derjenige ist, der er zu sein vorgibt, und davon, was der Mitarbeiter tun darf, sobald dieses Vertrauen hergestellt ist. Einige wenige Kontrollen tragen dabei den größten Teil der Last:

• Verifizieren Sie Anrufer mit etwas, das sich nicht nachschlagen lässt. Mitarbeiter-ID, Name des Vorgesetzten und Geburtsdatum sind alle recherchierbar. Wirksame Verifizierung nutzt einen Rückruf an eine bereits hinterlegte Nummer oder eine Bestätigung über einen separaten Kanal.
• Verlangen Sie eine zweite Freigabe für sensible Aktionen. Passwort-Resets, MFA-Neuregistrierung, Postfach-Delegierung und Rollenänderungen sollten nicht bei einem einzelnen Mitarbeiter unter Druck liegen.
• Stellen Sie privilegierte Konten auf phishing-resistente MFA um. FIDO2-Sicherheitsschlüssel und Passkeys beseitigen die phishbaren Codes und Push-Aufforderungen, auf die diese Angriffe angewiesen sind.
• Alarmieren Sie bei den Identitätsaktionen selbst. Die Neuregistrierung eines Authenticators, Änderungen an Wiederherstellungsmethoden und Rollen-Eskalation sind die Ereignisse, die ein Angreifer auslöst, also sind es die Ereignisse, die es zu beobachten gilt.

Diese leben in Ihrem Identity Provider und Ihrem Help-Desk-Playbook, nicht in einem einzelnen Produkt, und sie bilden die vorderste Linie. Tools unterstützen sie, aber die Disziplin ist das, was den Anruf zum Scheitern bringt.

Beseitigen Sie dauerhafte Privilegien

Eine strenge Anruferverifizierung stoppt die meisten betrügerischen Anfragen. Die nächste Frage ist, was ein Angreifer in den Fällen erlangt, in denen eine durchkommt, und das hängt davon ab, wie viele Privilegien der Help Desk trägt.

Support-Mitarbeitende erhalten oft weitreichende, dauerhafte Administratorrechte, mit der Begründung, sie bräuchten diesen Zugang für die Arbeit. Ständige lokale Administratorrechte über die gesamte Flotte hinweg, mitunter Mitgliedschaft in den Domänen-Admins, verfügbar den ganzen Tag, ob genutzt oder nicht. Wenn ein Support-Konto dauerhafte Privilegien trägt, übergibt ein einziger kompromittierter oder per Social Engineering manipulierter Mitarbeiter dem Angreifer in einem Schritt denselben umfassenden Zugang, und die Reichweite eines einzigen manipulierten Anrufs erstreckt sich auf alles, was der Mitarbeiter berühren konnte.

Die Beseitigung dauerhafter Privilegien verändert die Rechnung. Dieselbe Kompromittierung bringt dem Angreifer weit weniger ein, denn es wartet nichts darauf, geerbt zu werden. Das ist das Least-Privilege-Prinzip, angewandt auf genau die Personen, die am häufigsten ins Visier genommen werden, gerade wegen ihres Zugangs.

Wie Support Assist damit umgeht

Die Support-Assist-Funktion in Admin By Request EPM ist für Help Desks konzipiert, die aus Nicht-Admin-Personal bestehen, sodass das Least-Privilege-Prinzip für Support-Mitarbeitende genauso gilt wie für Endnutzer. Sie ermöglicht es einem Mitarbeiter, einem Nutzer bei einer Aufgabe zu helfen, die eine Elevation erfordert, ohne dass eine der beiden Personen dauerhafte Administratorrechte besitzt.

Der Ablauf ist unkompliziert. Ein Nutzer bittet um Hilfe, ein Mitarbeiter übernimmt die Aufgabe und verbindet sich über Remote Support (Teil unserer Secure Remote Access Lösung) mit dem Rechner. Der Mitarbeiter startet die Assist-Sitzung und gibt an einer UAC-Aufforderung seine eigenen Anmeldedaten ein. Von dort aus arbeitet er mit weniger restriktiven Einstellungen als der Nutzer, während der Nutzer die ganze Zeit zusieht. Ist die Aufgabe erledigt, kann jede der beiden Personen die Sitzung beenden, oder sie läuft von selbst ab.

Zwei Designentscheidungen machen das sicher. Erstens ist der Mitarbeiter während der Sitzung an seine eigenen Admin By Request EPM Einstellungen gebunden. Wenn ein Mitarbeiter im normalen Betrieb nicht berechtigt ist, eine vollständige Admin-Sitzung zu starten, kann er das auch über Support Assist nicht, denn die UAC-Aufforderung prüft seine tatsächlichen Berechtigungen. Findet jemand außerhalb des Help Desks die Schaltfläche und klickt darauf, passiert nichts, da immer nur die eigenen Rechte des Klickenden angewendet werden. Wo MFA aktiviert ist, muss sich der Mitarbeiter authentifizieren, bevor die Sitzung startet.

Zweitens wird jede Sitzung gemeinsam protokolliert. Der Audit-Trail hält fest, dass der Nutzer die Änderung angefragt und der Mitarbeiter sie ausgeführt hat, verknüpft mit einer einzigen Nachverfolgungsreferenz. Stellt sich eine Sitzung später als betrügerisch heraus, können Sie sehen, was getan wurde, unter wessen Anmeldedaten, auf wessen Rechner und wann. Diese Zuordnung ist es, die den Missbrauch durch Social Engineering erkennbar und rekonstruierbar macht, statt ihn in einem gemeinsam genutzten Admin-Konto zu vergraben, das niemand zurückverfolgen kann.

Das Ergebnis ist ein Help Desk, der Nutzer weiterhin schnell wieder handlungsfähig macht, ohne die dauerhaften Privilegien zu tragen, die einen manipulierten Mitarbeiter so kostspielig machen.

Die Ebenen zusammenführen

Die Absicherung des Service Desks gegen Social Engineering läuft darauf hinaus, zuerst den Prozess zu härten und dann die Privilegien abzuschneiden, die ein Angreifer erbt, falls eine Anfrage doch durchrutscht:

• Verifizieren Sie Anrufer mit Methoden, die ein Angreifer nicht recherchieren kann, und bestätigen Sie sensible Anfragen über einen zweiten Kanal.
• Verlangen Sie eine sekundäre Freigabe für Passwort-Resets, MFA-Neuregistrierung und Rollenänderungen.
• Stellen Sie privilegierte Konten und Support-Konten auf phishing-resistente MFA um.
• Alarmieren Sie bei Identitätsereignissen wie der Neuregistrierung einer MFA und Änderungen an Wiederherstellungsmethoden.
• Entfernen Sie dauerhafte Administratorrechte von Help-Desk-Konten und gewähren Sie Elevation just-in-time.
• Machen Sie jede erhöhte Aktion durch gemeinsame Protokollierung einer namentlich genannten Person zuordenbar.

Die ersten vier sind Identitäts- und Prozessdisziplin. Die letzten beiden sind der Punkt, an dem Admin By Request EPM direkt beiträgt, durch Support Assist und Least-Privilege-Elevation für genau das Personal, das Angreifer am häufigsten ins Visier nehmen.

Möchten Sie sehen, wie Least Privilege für Ihren Help Desk in der Praxis funktioniert? Buchen Sie eine kostenlose Demo, oder registrieren Sie sich für unseren lebenslang kostenlosen Plan und testen Sie ihn auf bis zu 25 Endpunkten, kostenlos, für immer.

Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.